Quellen-Tabelle

Am 24. April 2018 verhafteten Ermittler in Sacramento, Kalifornien, den 72-jährigen ehemaligen Polizisten Joseph James DeAngelo als mutmaßlichen Golden State Killer, der von den 1970er bis in die 1980er Jahre eine Serie von Morden, Vergewaltigungen und Einbrüchen in Kalifornien begangen haben soll. Ermittler hatten DNA-Spuren von Tatorten in die öffentlich zugängliche genetische Genealogie-Datenbank GEDmatch hochgeladen und darüber entfernte Verwandte von DeAngelo bis zu dessen Ur-Ur-Großeltern identifiziert, um anschließend über Monate den Stammbaum einzugrenzen. Am 20. April 2018 ergab ein erster DNA-Abgleich mit einer aus dem Hausmüll DeAngelos gewonnenen Probe eine Übereinstimmung, ein zweiter Test am 23. April 2018 bestätigte den Treffer, woraufhin der Haftbefehl vollstreckt wurde. GEDmatch war zum Tatzeitpunkt eine von Nutzern freiwillig mit eigenen DNA-Rohdaten befüllte Plattform ohne explizite Zustimmung zur Strafverfolgungsnutzung, was nach Bekanntwerden des Falls eine Debatte über die Nutzung ziviler DNA-Datenbanken durch die Polizei auslöste. Am 29. Juni 2020 bekannte sich DeAngelo vor Gericht in Sacramento zu 13 Fällen von Mord ersten Grades und 13 Fällen von Entführung im Rahmen von insgesamt 161 zugestandenen Straftaten an 48 Opfern schuldig, im Austausch gegen den Verzicht auf die Todesstrafe. Am 21. August 2020 verurteilte ihn das Gericht zu elf aufeinanderfolgenden lebenslangen Freiheitsstrafen ohne Bewährungsmöglichkeit.

Aus der Quelle nicht eindeutig belegt sind genaue Angaben dazu, wie viele GEDmatch-Nutzerprofile im Zuge der monatelangen Stammbaumrecherche konkret ausgewertet wurden und welche internen Absprachen zwischen Ermittlern und GEDmatch-Betreibern vor der Verhaftung stattfanden. Auch die vollständige rechtliche Bewertung der Zulässigkeit einer solchen DNA-Datenbanknutzung durch Strafverfolgungsbehörden war zum Zeitpunkt des Artikels noch nicht abschließend geklärt.

Am 03.03.2017 veröffentlichte die New York Times einen Artikel des Journalisten Mike Isaac, der ein internes Uber-Programm namens Greyball öffentlich machte. Greyball war Teil eines breiteren Systems namens VTOS (Violation of Terms of Service) und wurde laut Uber seit mindestens 2014 eingesetzt, um Behördenmitarbeiter und Ermittler in Städten zu identifizieren, in denen Uber ohne Genehmigung operierte oder verboten war. Zur Identifizierung nutzte Uber unter anderem Geofencing um Behördengebäude, den Abgleich von Kreditkarten mit Polizei-Kreditgenossenschaften, Social-Media-Daten und Geräte-Fingerprinting, insgesamt rund ein Dutzend Signale. Als Behördenmitarbeiter erkannte Nutzer erhielten eine manipulierte Version der App zu sehen, etwa mit nicht existierenden Fahrzeugen oder ohne verfügbare Fahrer, teilweise wurden Fahrer telefonisch angewiesen, eine bereits begonnene Fahrt abzubrechen. Die Methode kam laut Berichten unter anderem in Portland, Boston, Paris und Las Vegas sowie in Australien, China und Südkorea zum Einsatz. Uber räumte ein, die Technik in Portland über einen Zeitraum von zwei Wochen im Jahr 2014 gegen 17 Nutzerkonten vorwiegend von Behördenmitarbeitern eingesetzt zu haben. Am 09.03.2017 erklärte Ubers Sicherheitschef Joe Sullivan, der Einsatz von Greyball gegen lokale Regulierungsbehörden werde künftig untersagt. Im Dezember 2017 wurde bekannt, dass das US-Justizministerium eine strafrechtliche Untersuchung zu Greyball eingeleitet hatte.

Der genaue Ausgang der strafrechtlichen Ermittlungen des US-Justizministeriums ist aus dieser Quelle nicht ersichtlich, ebenso wenig eine belastbare Gesamtzahl weltweit betroffener Behördenmitarbeiter jenseits der 17 dokumentierten Portland-Konten.

Am 18.03.2022 bestätigte der südafrikanische Kreditauskunftsdienst TransUnion South Africa, dass ein krimineller Dritter Zugriff auf einen isolierten Unternehmensserver erlangt hatte. Die nach eigenen Angaben aus Brasilien stammende Hackergruppe N4ughtySecTU erklärte, sie habe sich per Brute-Force-Angriff Zugang zu einem SFTP-Server verschafft, dessen Konto mit dem Passwort Password gesichert war, und rund 4 Terabyte an Daten von etwa 54 Millionen Personen erbeutet, was nahezu der gesamten Bevölkerung Südafrikas entspricht. Die Angreifer forderten von TransUnion ein Lösegeld von 15 Millionen US-Dollar in Kryptowährung, um eine Veröffentlichung der Daten zu verhindern. TransUnion lehnte die Zahlung ab. Die eigene Untersuchung des Unternehmens ergab, dass tatsächlich Datensätze von rund 5 Millionen Verbrauchern vollständig offengelegt wurden, darunter Name, ID-Nummer, Geburtsdatum, Adresse und Telefonnummer, sowie bei weiteren 5,2 Millionen Verbrauchern lediglich die ID-Nummer. Zusätzlich waren Daten von rund 600.000 Unternehmen betroffen. TransUnion erklärte, die von den Angreifern behauptete Zahl von 54 Millionen Datensätzen stamme größtenteils aus älteren, von TransUnion unabhängigen Datenlecks seit 2017. Das Unternehmen bot betroffenen Personen bis zum 31.12.2023 kostenlose Kreditüberwachung an. Die südafrikanische Datenschutzbehörde Information Regulator leitete eine Untersuchung des Vorfalls ein und erließ später eine förmliche Anordnung gegen TransUnion.

Die von der Hackergruppe genannte Zahl von 54 Millionen Betroffenen ist durch TransUnion nicht bestätigt und laut Unternehmen größtenteils auf fremde, ältere Datenlecks zurückzuführen. Ob TransUnion die Anordnung der Information Regulator angefochten hat und ob ein Bußgeld verhängt wurde, ist aus dieser Quelle nicht ersichtlich.

Am 20.06.2024 gab das US-Handelsministerium (Bureau of Industry and Security, BIS) eine Entscheidung bekannt, die Verkauf und Nutzung von Sicherheitssoftware der russischen Firma Kaspersky Lab in den USA verbietet. Es war die erste Anwendung der ICTS-Regulierung auf Grundlage der Executive Order 13873 zur Sicherung der Lieferkette für Informations- und Kommunikationstechnologie. Betroffen sind Kaspersky Lab Inc. in den USA sowie die russischen Muttergesellschaften AO Kaspersky Lab und OOO Kaspersky Group, die britische Kaspersky Labs Limited und verbundene Tochterunternehmen. Ab dem 20.07.2024 durfte Kaspersky in den USA keine neuen Verträge mehr abschließen oder Lizenzen verkaufen. Ab dem 29.09.2024 mussten Kaspersky und von ihm beauftragte Dritte Virensignatur- und Codebase-Updates sowie den Betrieb des Kaspersky Security Network für US-Kunden vollständig einstellen. Als Begründung nannte das BIS die Kontrolle der russischen Regierung über Kaspersky und weitreichende administrative Zugriffsrechte der Software auf Kundensysteme. Am 21.06.2024 verhängte das US-Finanzministerium zusätzlich Sanktionen gegen zwölf Führungskräfte von AO Kaspersky Lab. Nach eigenen Angaben hatte Kaspersky zu diesem Zeitpunkt weltweit mehr als 400 Millionen Nutzer und rund 270.000 Unternehmenskunden in über 200 Ländern. Kaspersky wies die Vorwürfe zurück und stellte seinen Geschäftsbetrieb in den USA zum 20.07.2024 ein.

Die Quelle belegt kein konkretes, öffentlich vorgelegtes Beweismittel für tatsächlichen Datenmissbrauch oder Spionage durch Kaspersky; das Verbot beruht auf einer Risikoeinschätzung des russischen Staatseinflusses, nicht auf einem dokumentierten Vorfall. Wie viele der über 400 Millionen Nutzer konkret in den USA betroffen waren, wird von der Quelle nicht beziffert.

Der britische IT-Sicherheitsforscher Marcus Hutchins, bekannt unter dem Pseudonym MalwareTech, wurde am 02.08.2017 vom FBI in Las Vegas verhaftet, nachdem eine Grand Jury im Eastern District of Wisconsin ihn wegen Entwicklung und Verkauf des Banking-Trojaners Kronos sowie der Malware UPAS Kit angeklagt hatte. Hutchins war wenige Monate zuvor, im Mai 2017, bekannt geworden, weil er durch Registrierung einer Domain einen in der Ransomware WannaCry verborgenen Kill Switch aktivierte und damit deren weltweite Ausbreitung stoppte. Laut Anklage entwickelte und vertrieb er Kronos und UPAS Kit im Zeitraum von Juli 2012 bis September 2015, unter anderem über den inzwischen abgeschalteten Darknet-Marktplatz AlphaBay. Am 19.04.2019 bekannte sich Hutchins vor einem Bundesgericht in zwei von zehn Anklagepunkten schuldig. Am 26.07.2019 verurteilte Richter J. P. Stadtmueller ihn am US-Bezirksgericht in Milwaukee zu keiner weiteren Haftstrafe sowie einem Jahr Bewährung, obwohl theoretisch bis zu zehn Jahre Haft und 500.000 US-Dollar Geldstrafe möglich gewesen wären. Die Staatsanwaltschaft konnte keinen konkreten finanziellen Schaden durch Kronos nachweisen. Vor Gericht wurde der geringe belegte Schaden von Kronos den Folgen von WannaCry gegenübergestellt, das weltweit Schäden von über 8 Milliarden US-Dollar verursacht hatte. Wegen der Verurteilung darf Hutchins nicht mehr dauerhaft in die USA einreisen.

Aus der Quelle geht nicht hervor, welchen konkreten finanziellen Schaden oder wie viele Opfer der Kronos-Trojaner tatsächlich verursachte; die genannten Milliarden- und Millionenbeträge betreffen WannaCry, nicht Kronos. Ob Hutchins die vom Richter angeregte Präsidenten-Begnadigung je erhalten hat, ist nicht belegt.

Die Electronic Frontier Foundation (EFF) veröffentlichte am 31.10.2023 den Bericht Red Flag Machine zur Schülerüberwachungssoftware GoGuardian. Die Software überwacht nach EFF-Angaben rund 27 Millionen Schüler in etwa 11.500 Schulen in den USA. GoGuardian analysiert automatisiert Suchanfragen, besuchte Webseiten und Bildschirminhalte auf Schulcomputern und meldet vermeintlich bedenkliche Inhalte an Schulpersonal. Laut den EFF-Autoren Jason Kelley und Kate Prince erzeugt das System deutlich mehr Fehlalarme als korrekt erkannte schädliche Inhalte. Zu den fälschlich als gefährlich eingestuften Inhalten zählen Bewerbungsseiten von Universitäten, Beratungs- und Therapieangebote, Informationen zu Drogenmissbrauch, LGBTQ-Themen und sexueller Gesundheit sowie Nachrichtenseiten und Bildungsmaterial. EFF-Ermittlungsdirektor Dave Maass nannte als Beispiel, dass Schüler wegen des Aufrufs des offiziellen Fitnessratgebers der US Marine Corps markiert wurden. Grundlage des Berichts waren zahlreiche Anfragen nach dem Freedom of Information Act sowie die Auswertung tausender tatsächlicher GoGuardian-Warnmeldungen. Manche großen Schulbezirke erzeugen nach GoGuardian eigenen Angaben bis zu 50.000 Alarme pro Tag.

Aus dieser Quelle nicht belegt sind eine offizielle Stellungnahme von GoGuardian zu den Vorwürfen, eine behördliche Sanktion oder Geldstrafe sowie eine exakte bundesweite Gesamtzahl aller erzeugten Fehlalarme.

Im Dezember 2019 übernahmen unbekannte Angreifer in den USA mehrere internetverbundene Überwachungskameras des Amazon-Tochterunternehmens Ring und sprachen über deren eingebaute Lautsprecher mit Kindern und Erwachsenen in deren Schlafzimmern. Am 04.12.2019 sprach ein Unbekannter über die Kamera der Familie LeMay in Desoto County, Mississippi, mit der achtjährigen Alyssa, spielte Musik ab und gab sich als Santa Claus und bester Freund aus. Die Kamera war nach Angaben der Mutter Ashley LeMay erst vier Tage zuvor installiert worden. Zwischen dem 09. und 11.12.2019 wurden weitere Fälle aus Cape Coral in Florida, Grand Prairie in Texas und Brookhaven in Georgia bekannt. Ring erklärte öffentlich, es habe keinen eigenen Datenschutzverstoß gegeben, die Angreifer hätten stattdessen Zugangsdaten aus früheren, fremden Datenlecks per Credential Stuffing wiederverwendet. Die Familie LeMay hatte die optionale Zwei-Faktor-Authentifizierung für ihr Ring-Konto nicht aktiviert. Die US-Handelsaufsicht FTC stellte 2023 in einer Klage fest, dass Hacker über ähnliche Methoden bis 2020 auf Konten und Kamera-Feeds von mindestens 55.000 US-Kunden zugreifen konnten, darunter Kinder und ältere Menschen. Im Rahmen der Einigung zahlte Ring eine Entschädigungssumme von 5,6 Millionen US-Dollar, die die FTC ab 2024 per PayPal an mehr als 117.000 betroffene Kunden auszahlte.

Aus der Quelle nicht belegt ist, wie viele der im Dezember 2019 gemeldeten Einzelfälle sich tatsächlich auf Credential Stuffing zurückführen lassen, da Sicherheitsforscher Rings Darstellung anhand des Formats geleakter Daten anzweifelten. Ebenfalls nicht dokumentiert ist, ob die verantwortlichen Angreifer je identifiziert oder strafrechtlich verfolgt wurden.

Am 06.08.2020 unterzeichnete US-Präsident Donald Trump die Executive Order 13943, die US-Personen Transaktionen mit dem chinesischen Konzern Tencent Holdings Ltd. im Zusammenhang mit der Messaging-App WeChat untersagte. Die Anordnung begründete das Verbot damit, dass WeChat mit weltweit über einer Milliarde Nutzern automatisch große Mengen an Nutzerdaten erfasse und dies der Kommunistischen Partei Chinas Zugriff auf persönliche und geschäftliche Informationen von Amerikanern ermöglichen könne. Als Beleg führte die Anordnung an, dass ein Forscher im März 2019 eine chinesische Datenbank mit Milliarden von WeChat-Nachrichten von Nutzern aus China, den USA, Taiwan, Südkorea und Australien entdeckt habe. Das US-Handelsministerium benannte am 18.09.2020 konkrete verbotene Transaktionen mit Wirkung zum 20.09.2020. Am 20.09.2020 blockierte US-Bundesrichterin Laurel Beeler in San Francisco das Verbot per einstweiliger Verfügung, nachdem eine Nutzervereinigung und sechs WeChat-Nutzer wegen möglicher Verletzung des ersten Verfassungszusatzes geklagt hatten. Beeler erklärte, die Regierung habe legitime Sicherheitsbedenken gegenüber China dargelegt, aber kaum Beweise dafür vorgelegt, dass ein vollständiges App-Verbot diese Bedenken adressiere. Vorangegangene Forschung des Citizen Lab der University of Toronto vom Mai 2020 hatte zuvor gezeigt, dass auch Dokumente und Bilder zwischen außerhalb Chinas registrierten WeChat-Konten inhaltlich überwacht wurden. Am 09.06.2021 hob US-Präsident Joe Biden die Executive Order 13943 wieder auf.

Die Executive Order stützt sich bei der zentralen Datenbank-Behauptung auf einen Presseberichte-Verweis statt auf eigene Beweisführung, und eine direkte, systematische Weitergabe von WeChat-Nutzerdaten an chinesische Behörden wurde in keinem der folgenden US-Gerichtsverfahren abschließend belegt. Auch das Citizen Lab stellte 2020 ausdrücklich klar, keine Beweise dafür zu haben, dass die beobachtete Überwachung direkt von der chinesischen Regierung angeordnet wurde.

Am 24.04.2024 unterzeichnete US-Präsident Joe Biden den Protecting Americans from Foreign Adversary Controlled Applications Act (PAFACA, H.R. 7521) als Teil des Hilfspakets H.R. 8038. Das Repräsentantenhaus hatte die eigenständige Fassung H.R. 7521 bereits am 13.03.2024 mit 352 zu 65 Stimmen verabschiedet, eingebracht am 05.03.2024 vom Abgeordneten Mike Gallagher. Nach Aufnahme in das Paket H.R. 8038 stimmte das Repräsentantenhaus am 20.04.2024 mit 360 zu 58 Stimmen zu, der Senat folgte am 23.04.2024 mit 79 zu 18 Stimmen. Das Gesetz verpflichtet den chinesischen Mutterkonzern ByteDance Ltd. dazu, seine Video-App TikTok innerhalb von 270 Tagen an einen Käufer außerhalb als foreign adversary eingestufter Staaten zu veräußern, mit einer möglichen einmaligen Fristverlängerung um 90 Tage durch den Präsidenten. Ohne einen solchen Verkauf sieht das Gesetz ein Verbot der Bereitstellung von TikTok über App-Stores und Webhosting-Dienste in den USA vor. Die Frist lief damit regulär bis zum 19.01.2025. Als Begründung nannte der Kongress nationale Sicherheitsbedenken wegen möglichen Zugriffs der chinesischen Regierung auf Nutzerdaten von nach TikTok-Angaben rund 170 Millionen US-Nutzern. ByteDance und TikTok kündigten an, gegen das Gesetz gerichtlich vorzugehen.

Aus der Quelle nicht belegt sind der spätere tatsächliche Verfahrensausgang nach Fristablauf sowie eine unabhängig verifizierte, offizielle Nutzerzahl für TikTok in den USA, da die 170-Millionen-Angabe von TikTok selbst stammt.

Am 12.09.2018 reichten Dr. Johnny Ryan, Jim Killock (Open Rights Group) und Michael Veale (University College London) förmliche Datenschutzbeschwerden gegen das Real Time Bidding System (RTB) der Online-Werbeindustrie bei der irischen Datenschutzbehörde (Data Protection Commission, DPC) und dem britischen Information Commissioner's Office (ICO) ein. Die Beschwerde richtete sich gegen Google und das vom Interactive Advertising Bureau mitentwickelte RTB-System, bei dem persönliche Nutzerdaten in Echtzeit-Werbeauktionen an tausende Firmen versteigert werden. Am 22.05.2019 eröffnete die irische DPC eine förmliche Untersuchung gegen Google Ireland Limited wegen dessen Ad-Exchange-Datenverarbeitung. Die ICCL, die die Kampagne weiterführte, beziffert das Ausmaß auf rund 178 Billionen RTB-Datenübertragungen pro Jahr in den USA und Europa, mit durchschnittlich 747 täglichen Übertragungen pro US-Person und 376 pro europäischer Person, bei einem geschätzten Branchenwert von über 117 Milliarden US-Dollar. Zu den übertragenen Daten zählen laut ICCL unter anderem Standortangaben sowie Rückschlüsse auf sexuelle Orientierung, Gesundheitszustand, religiöse Überzeugung und politische Ansichten. Die ICCL bezeichnet RTB explizit als das größte je registrierte Datenleck. Im Januar 2020 kündigte das britische ICO an, zunächst keine unmittelbaren Durchsetzungsmaßnahmen zu ergreifen. Da die irische DPC ihre Untersuchung über Jahre nicht abschloss, verklagte die ICCL die Behörde wegen Untätigkeit vor dem irischen High Court.

Die Zahl von 178 Billionen jährlichen RTB-Datenübertragungen sowie der Branchenwert von 117 Milliarden US-Dollar stammen von der ICCL selbst und sind nicht unabhängig verifiziert. Ob RTB im rechtlichen Sinne tatsächlich ein Datenleck darstellt oder lediglich eine rechtswidrige Datenverarbeitung, war Gegenstand eines langjährigen, zum Zeitpunkt der Recherche noch nicht abschließend entschiedenen Gerichtsverfahrens.

Am 14.07.2020 kündigte der britische Digitalminister Oliver Dowden an, den chinesischen Netzwerkausrüster Huawei aus den 5G-Mobilfunknetzen des Vereinigten Königreichs auszuschließen. Telekommunikationsbetreiber dürfen ab dem 31.12.2020 keine neue Huawei-5G-Ausrüstung mehr kaufen, bereits verbaute Huawei-Technik muss bis Ende 2027 vollständig aus den Netzen entfernt werden. Auslöser war eine Neubewertung durch das National Cyber Security Centre, nachdem die USA am 15.05.2020 ihre Exportregeln gegen Huawei verschärft hatten. Die Entscheidung revidierte einen Beschluss vom Januar 2020, der Huawei noch mit einer Obergrenze von 35 Prozent in nicht sicherheitskritischen Netzteilen erlaubt hatte. Die britische Regierung bezifferte die wirtschaftlichen Folgen des Kurswechsels auf zusätzliche Kosten von bis zu 2 Milliarden Pfund sowie eine Verzögerung des 5G-Ausbaus um 2 bis 3 Jahre. Grundlage der Sicherheitsbedenken war der Verdacht, Huawei-Ausrüstung könne für chinesische Spionage genutzt werden oder unterliege dem Einfluss der chinesischen Regierung. Ähnliche Ausschlüsse folgten in weiteren Ländern, etwa Schweden 2020 und Deutschland mit einer Entscheidung im September 2023 zur Entfernung kritischer Huawei- und ZTE-Komponenten aus den Kernnetzen bis 2026.

Aus dieser Quelle nicht belegt sind konkrete technische Nachweise für Spionagefunktionen in Huawei-Geräten; die Entscheidung stützte sich auf eine veränderte Risikobewertung infolge der US-Sanktionen, nicht auf eine veröffentlichte technische Sicherheitslücke. Ebenso unbelegt bleibt das genaue Ausmaß einer möglichen Einflussnahme der chinesischen Regierung auf Huawei, was das Unternehmen selbst bestreitet.

Die US-Kreditauskunftei Experian erwarb im März 2012 das Unternehmen Court Ventures, das über eine Vertragspartnerschaft mit dem Datenaggregator US Info Search Zugriff auf umfangreiche Verbraucherdatenbanken besaß. Ein Kunde von Court Ventures, der sich als Privatermittler mit Sitz in Singapur ausgab, war tatsächlich der 24-jährige vietnamesische Staatsbürger Hieu Minh Ngo, der unter dem Pseudonym hieupc die Identitätsdiebstahl-Dienste Superget.info und Findget.me betrieb. Ngo bezahlte den Datenzugang monatlich per Banküberweisung aus Singapur und konnte dadurch auf Sozialversicherungsnummern, Geburtsdaten, Adressen und weitere Datensätze von mehr als 200 Millionen US-Amerikanern zugreifen. Der Zugriff dauerte auch nach der Übernahme durch Experian noch rund zehn Monate an, bis der US Secret Service Experian auf die verdächtigen Aktivitäten aufmerksam machte und der Zugang im Februar 2013 beendet wurde. Nach Angaben von US-Ermittlern führte Ngos Dienst zwischen 2007 und Februar 2013 rund 3,1 Millionen Abfragen für etwa 1.300 zahlende Kunden durch und nahm dabei rund 1,9 Millionen US-Dollar ein. Das US-Justizministerium gab die strafrechtliche Anklage gegen Ngo am 19.10.2013 bekannt. Ngo bekannte sich schuldig und wurde im Juli 2015 zu 13 Jahren Haft verurteilt. Im November 2022 einigte sich die Experian-Tochter Experian Data Corp zusätzlich mit den Generalstaatsanwälten von 40 US-Bundesstaaten auf einen Vergleich über 1 Million US-Dollar.

Die genaue Zahl der tatsächlich durch Ngos Dienst geschädigten Verbraucher blieb laut US-Ermittlern zum Zeitpunkt der Anklage 2013 ungeklärt, da nur die Zahl der abrufbaren Datensätze und Abfragen bekannt war.

Am 04.10.2016 berichtete die Nachrichtenagentur Reuters unter Berufung auf mehrere ehemalige Mitarbeiter, dass der Internetkonzern Yahoo im Jahr 2015 heimlich eine Spezialsoftware entwickelt hatte, um alle eingehenden E-Mails seiner Kundinnen und Kunden zu durchsuchen. Der Auftrag ging laut Reuters auf eine geheime Anordnung der US-Regierung zurück, die entweder von der NSA oder dem FBI stammte. Die Software durchsuchte den eingehenden Mailverkehr von mehreren hundert Millionen Yahoo-Mail-Konten in Echtzeit nach einer bestimmten, nicht öffentlich bekannten Zeichenfolge. Nach Einschätzung von Überwachungsexperten war dies der erste bekannt gewordene Fall, in dem ein US-Internetunternehmen den gesamten eingehenden E-Mail-Verkehr in Echtzeit durchsuchte. Yahoos damalige Geschäftsführerin Marissa Mayer und Justiziar Ron Bell wiesen die zuständigen E-Mail-Ingenieure an, das Programm ohne Wissen des übrigen Sicherheitsteams zu bauen. Der damalige Chief Information Security Officer Alex Stamos entdeckte das Programm im Mai 2015 und verließ Yahoo im Juni 2015. Yahoo reagierte mit der Erklärung, man sei ein gesetzestreues Unternehmen, äußerte sich aber nicht näher zu Details.

Unklar bleibt, welche konkrete Zeichenfolge die Geheimdienste tatsächlich suchten, welche Behörde die Anordnung im Detail erteilte und ob beziehungsweise welche Daten Yahoo an Behörden übergab. Yahoo bestritt Teile der Reuters-Darstellung öffentlich, ohne eigene Fakten oder Zahlen zu nennen, sodass der Sachverhalt bis heute nicht offiziell bestätigt ist.

Der Sicherheitsforscher Troy Hunt veröffentlichte am 27.02.2017 seine Analyse zum Datenleck des Spielzeugherstellers Spiral Toys, dessen Produktlinie CloudPets internetverbundene Plüschtiere mit Sprachnachrichtenfunktion zwischen Eltern und Kindern umfasste. Die zugrunde liegende MongoDB-Datenbank war bereits seit dem 25.12.2016 ohne jede Authentifizierung im offenen Internet erreichbar und wurde von der Suchmaschine Shodan erfasst. Sie enthielt 821.296 Nutzerdatensätze mit E-Mail-Adressen und bcrypt-gehashten Passwörtern sowie Namen, Geburtsdaten und Profilfotos von Kindern. Zusätzlich verwies die Datenbank auf 2.182.337 bei Amazon Web Services gespeicherte Sprachaufnahmen zwischen Eltern und Kindern, die ohne Zugriffsschutz abrufbar waren. Mehrere Sicherheitsforscher versuchten ab dem 30.12.2016 vergeblich, Spiral Toys sowie den Hosting-Anbieter Linode zu erreichen, der erst am 04.01.2017 reagierte. Zwischen dem 07.01. und 13.01.2017 griffen Unbekannte mehrfach auf die ungesicherte Datenbank zu, löschten Teile davon und hinterließen Erpressernachrichten mit Bitcoin-Zahlungsaufforderungen. CloudPets verlangte laut Hunts Untersuchung keinerlei Mindestanforderungen an Passwörter. Das Unternehmen informierte die betroffenen Familien nach Hunts Angaben trotz gesetzlicher Meldepflicht im Sitzstaat Kalifornien nicht über den Vorfall.

Aus dieser Quelle nicht belegt sind spätere behördliche Konsequenzen wie Bußgelder oder ein förmliches FTC-Verfahren gegen Spiral Toys sowie der genaue Umfang tatsächlich abgeflossener Daten, da die Reaktionszeiten einzelner Angreifer nicht vollständig rekonstruierbar sind.

Am 21.11.2023 vergab NHS England den Zuschlag für die Federated Data Platform (FDP) an ein von Palantir Technologies angeführtes Konsortium, dem auch Accenture, PwC, NECS und Carnall Farrar angehören. Der Vertrag hat eine Laufzeit von bis zu sieben Jahren und ein Volumen von bis zu 330 Millionen Pfund, wobei die ursprüngliche Ausschreibung bei voller Verlängerung einen Maximalwert von bis zu 480 Millionen Pfund vorsah. Die FDP soll Patientendaten aus bis zu 240 NHS-Organisationen und 215 Krankenhaustrusts in England zusammenführen, um Wartelisten zu verwalten und die Versorgung zu koordinieren. Palantir setzte sich im Vergabeverfahren gegen Mitbewerber wie Oracle und IBM durch. Zuvor hatte Palantir bereits ohne offene Ausschreibung rund 60 Millionen Pfund von NHS-Stellen erhalten, darunter einen Pandemie-Vertrag ab 2020 zum symbolischen Preis von 1 Pfund. Der neue Vertrag enthält eine Ausstiegsklausel, deren erste Frist im Februar 2027 liegt. Menschenrechtsorganisationen wie Amnesty International UK protestierten gegen den Vertrag, unter anderem wegen Palantirs Geschäftsbeziehungen zu Geheimdiensten und zum israelischen Militär. Bis Ende 2024 nutzten laut Berichten weniger als ein Viertel der 215 englischen Krankenhaustrusts die Plattform aktiv. Im Juli 2026 räumte NHS England zudem ein, dass ein Datenschutzdokument unzutreffend angegeben hatte, wer Zugriff auf identifizierbare Patientendaten hat.

Aus dieser Quelle nicht belegt sind die genaue Zahl der von dem Offenlegungsfehler zu Palantirs Datenzugriff betroffenen Patientendatensätze sowie der endgültige Ausgang der für Februar 2027 vorgesehenen vertraglichen Ausstiegsoption.

Die französische Datenschutzbehörde CNIL verhängte am 17.10.2022 gegen das US-Unternehmen Clearview AI eine Geldbuße von 20 Millionen Euro, das gesetzliche Maximum nach Artikel 83 DSGVO. Clearview AI betreibt eine Gesichtserkennungssoftware und sammelte weltweit über 20 Milliarden Fotos von Webseiten, sozialen Netzwerken und Videos, um daraus eine durchsuchbare Bilddatenbank zu erstellen, die vor allem an Strafverfolgungsbehörden vermarktet wird. Die CNIL stellte zwei DSGVO-Verstöße fest: die Verarbeitung sensibler biometrischer Daten ohne gültige Rechtsgrundlage sowie die unzureichende Berücksichtigung von Betroffenenrechten. Bereits am 26.11.2021 hatte die CNIL Clearview AI förmlich aufgefordert, die Datenerhebung französischer Bürger zu stoppen, worauf das Unternehmen nicht reagierte. Mit der Sanktion vom 17.10.2022 ordnete die CNIL zusätzlich an, dass Clearview AI die Datenerhebung von Personen in Frankreich einstellen und bereits gespeicherte Daten innerhalb von zwei Monaten löschen muss. Bei Überschreitung dieser Frist drohte ein Zwangsgeld von 100.000 Euro pro Tag. Clearview AI kooperierte während des gesamten Verfahrens nur unvollständig mit der Behörde.

Aus der Quelle nicht belegt ist, ob Clearview AI die Geldbuße tatsächlich gezahlt oder die angeordnete Löschung fristgerecht umgesetzt hat, da das Unternehmen als US-Firma ohne Niederlassung in der EU die Vollstreckbarkeit bestritt.

Am 13.08.2022 berichtete das Reiseportal View from the Wing über den Fall eines Marriott-Bonvoy-Kunden, dessen Treuepunktekonto von Unbekannten kompromittiert wurde. Aus dem Konto des Lesers verschwanden rund 100.000 Bonvoy-Punkte, wobei weder der genaue Zeitpunkt des Zugriffs noch die konkrete Zugriffsmethode öffentlich bekannt wurden. Nach der Meldung sperrte Marriott das betroffene Konto vollständig und teilte mit, die Punkte würden erst nach Abschluss einer internen Untersuchung zurückerstattet, mit einer erwarteten Bearbeitungsdauer von rund 45 Tagen. Nach 44 Tagen wurde das Konto aus der Prüfung genommen und alle 100.000 Punkte wurden dem Kunden vollständig gutgeschrieben. Während der gesamten Untersuchungsdauer hatte der rechtmäßige Kontoinhaber keinen eigenen Zugriff mehr auf sein Konto. Der Fall reiht sich in ein 2022 vielfach dokumentiertes Muster von Bonvoy-Kontoübernahmen ein. Parallel dazu bestätigte Marriott im Juni/Juli 2022 einen separaten Sicherheitsvorfall, bei dem ein Angreifer per Social Engineering Zugriff auf den Rechner eines Mitarbeiters am BWI Airport Marriott in Maryland erlangte und rund 20 Gigabyte an Daten entwendete, was rund 300 bis 400 Personen betraf.

Die Quelle belegt nur diesen dokumentierten Einzelfall; wie die Täter tatsächlich Zugang zum Bonvoy-Konto erlangten, bleibt ungeklärt. Ob gestohlene Bonvoy-Punkte systematisch im großen Stil weiterverkauft wurden, ist aus dieser Quelle nicht ersichtlich.

Optus, der zweitgrößte Telekommunikationsanbieter Australiens, entdeckte am 20.09.2022 einen unbefugten Zugriff auf seine Kundendatenbank und informierte die Öffentlichkeit am 22.09.2022. Ursache war eine seit 2019 bestehende, ungesicherte und über das Internet erreichbare API-Schnittstelle, die keine Authentifizierung verlangte und dadurch den vollständigen Abruf von Kundendatensätzen ermöglichte. Betroffen waren bis zu 9,8 Millionen aktuelle und ehemalige Kunden, etwa ein Drittel der australischen Bevölkerung. Offengelegt wurden Namen, Geburtsdaten, Adressen, Telefonnummern und E-Mail-Adressen, bei rund 2,1 Millionen Kunden zusätzlich Ausweisdaten wie Reisepass-, Führerschein- oder Medicare-Nummer. Am 24.09.2022 forderte ein Angreifer 1,5 Millionen australische Dollar in Monero, zog die Erpressung jedoch innerhalb weniger Stunden zurück. Optus stellte 140 Millionen australische Dollar für Folgekosten zurück und bot betroffenen Kunden kostenlose Kreditüberwachung an. Am 08.08.2025 reichte die OAIC beim Federal Court of Australia eine Zivilklage gegen Singtel Optus ein, mit einer möglichen Strafe von bis zu 2,22 Millionen australische Dollar pro Verstoß.

Der Ausgang der im August 2025 eingereichten Zivilklage vor dem Federal Court of Australia war zum Zeitpunkt der Berichterstattung noch offen.

Am 11. September 2023 bestätigte die Casino- und Hotelkette MGM Resorts International einen Cyberangriff auf ihre US-Systeme, nachdem die Hackergruppe Scattered Spider bereits am 10. September 2023 Zugriff auf interne Systeme erlangt hatte. Die Angreifer nutzten Social Engineering: Sie identifizierten einen MGM-Mitarbeiter über LinkedIn, gaben sich in einem rund zehnminütigen Anruf beim IT-Helpdesk als diese Person aus und erhielten so administrative Zugriffsrechte auf die Okta- und Azure-Umgebung von MGM. Die mit ALPHV/BlackCat verbundenen Angreifer legten daraufhin für etwa zehn Tage den Betrieb an mehr als 30 MGM-Standorten lahm, betroffen waren Online-Reservierungen, digitale Zimmerschlüssel, Geldautomaten und Spielautomaten. MGM Resorts bezifferte den finanziellen Schaden für das dritte Quartal 2023 auf mehr als 100 Millionen US-Dollar. MGM zahlte kein Lösegeld, während Caesars Entertainment im selben Zeitraum Berichten zufolge rund 15 Millionen US-Dollar zahlte. Die Täter erbeuteten zudem persönliche Daten von Kunden, die vor März 2019 mit MGM Geschäfte gemacht hatten.

Aus dieser Quelle nicht abschließend belegt sind die genaue Gesamtzahl der vom Datendiebstahl betroffenen Kundendatensätze sowie eine strafrechtliche Verantwortlichkeit konkreter, namentlich benannter Scattered-Spider-Mitglieder.

Am 21.02.2024 legte ein Ransomware-Angriff der Gruppe ALPHV/BlackCat den IT-Betrieb von Change Healthcare lahm, einem Tochterunternehmen von UnitedHealth Group, das rund ein Drittel aller US-Krankenversicherungsabrechnungen verarbeitet. Die Angreifer verschafften sich bereits am 12.02.2024 über ein Citrix-Fernzugangsportal Zugang, das entgegen der Unternehmensrichtlinie nicht durch Multi-Faktor-Authentifizierung geschützt war. In neun Tagen bewegten sie sich lateral durch die Systeme und exfiltrierten schätzungsweise sechs Terabyte an Daten, bevor am 21.02.2024 die Ransomware ausgelöst wurde. UnitedHealth Group zahlte im Anschluss ein Lösegeld von 22 Millionen US-Dollar, erhielt jedoch keine vollständige Zusicherung der Datenlöschung. Betroffen waren Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie Krankenversicherungs-, Diagnose-, Behandlungs- und Abrechnungsdaten. Die Zahl der gemeldeten Betroffenen wurde mehrfach nach oben korrigiert, von anfänglich rund 100 Millionen auf schließlich 192,7 Millionen Individuen, fast zwei Drittel der US-Bevölkerung. UnitedHealth bezifferte die Gesamtauswirkungen des Angriffs bis Ende September 2024 auf 2,457 Milliarden US-Dollar.

Nicht abschließend geklärt sind der genaue Umfang der tatsächlich missbrauchten Daten je Betroffenem sowie der Ausgang der zivilrechtlichen Sammelklagen und der behördlichen HIPAA-Untersuchung, die zum Zeitpunkt der Recherche noch keine abschließenden Ergebnisse veröffentlicht hatte.

Am 07.05.2021 legte die Ransomware-Gruppe DarkSide die IT-Systeme von Colonial Pipeline lahm, dem Betreiber der größten Treibstoffpipeline der USA, die täglich rund 2,5 Millionen Barrel Benzin, Diesel und Kerosin von Texas an die US-Ostküste liefert. Die Angreifer verschafften sich Zugang über ein kompromittiertes Passwort eines inaktiven VPN-Kontos ohne Mehr-Faktor-Authentifizierung und erbeuteten fast 100 Gigabyte an Daten. Colonial Pipeline stellte den Betrieb vorsorglich ein, was zu Panikkäufen, Kraftstoffknappheit an bis zu rund 10.600 Tankstellen und einem von Präsident Joe Biden am 09.05.2021 verhängten Notstand führte. CEO Joseph Blount ließ innerhalb weniger Stunden 75 Bitcoin im Wert von etwa 4,4 Millionen US-Dollar an DarkSide zahlen. Der Pipelinebetrieb wurde am 12.05.2021 wieder aufgenommen. Am 07.06.2021 gab das US-Justizministerium bekannt, dass FBI-Ermittler 63,7 der gezahlten Bitcoin im damaligen Wert von rund 2,3 Millionen US-Dollar sicherstellen konnten. Präsident Biden unterzeichnete am 12.05.2021 die Executive Order 14028 zur Stärkung der nationalen Cybersicherheit.

Aus dieser Quelle nicht abschließend belegt sind die genaue Identität der individuellen Angreifer hinter dem DarkSide-Konto sowie eine strafrechtliche Verurteilung konkreter Täter.

Das US-Gentestunternehmen 23andMe bestätigte am 06.10.2023 einen Datendiebstahl, bei dem Angreifer mittels Credential Stuffing auf Nutzerkonten zugriffen. Direkt kompromittiert wurden nach Angaben des Unternehmens rund 14.000 Konten, etwa 0,1 Prozent der Kundenbasis. Über die Funktionen DNA Relatives und Family Tree griffen die Angreifer zusätzlich auf Profildaten von insgesamt rund 6,9 Millionen Nutzern zu, wie 23andMe am 04.12.2023 vollständig einräumte. Ein Hacker mit dem Pseudonym Golem bot am 06.10.2023 im Forum BreachForums einen Datensatz mit dem Titel Ashkenazi DNA Data of Celebrities an, der Angaben zu 999.998 Personen mit aschkenasisch jüdischer Abstammung sowie zu 100.000 Personen mit chinesischer Abstammung enthielt. Erbeutet wurden Namen, Geburtsjahre, Wohnorte, Familiennamen, Herkunftsangaben der Großeltern und ethnische Abstammungsschätzungen. 23andMe deaktivierte daraufhin vorübergehend die DNA-Relatives-Funktion und führte eine verpflichtende Zwei-Faktor-Authentifizierung ein. Im September 2024 stimmte das Unternehmen einem Vergleich in Höhe von 30 Millionen US-Dollar zu, um Sammelklagen in den USA wegen des Vorfalls beizulegen.

Die Quelle belegt nicht die genaue Zahl direkt kompromittierter Konten unter den jüdischen und chinesischen Nutzern und deckt nicht die spätere Insolvenz von 23andMe sowie die überarbeiteten Vergleichssummen (unter anderem eine separate Einigung mit US-Bundesstaaten über 18 Millionen US-Dollar) ab.

Der Passwort-Manager-Anbieter LastPass wurde 2022 Opfer eines zweistufigen Angriffs. Zwischen dem 8. und 12. August 2022 kompromittierten Angreifer den Laptop eines Softwareentwicklers und erbeuteten Quellcode aus 14 von rund 200 Repositories. Mit diesen Informationen griffen die Täter anschließend einen von vier DevOps-Ingenieuren mit Zugriff auf die Entschlüsselungsschlüssel an, dessen privater Rechner wegen einer ungepatchten Sicherheitslücke im dort installierten Plex Media Server verwundbar war, und erbeuteten per Keylogger dessen Zugangsdaten. Dadurch konnten die Angreifer im Zeitraum 20. August bis 16. September 2022 auf ein Cloud-Backup zugreifen und eine Kopie der Kundendatenbank sowie Kopien von Passwort-Tresoren kopieren. Betroffen waren nach LastPass-Angaben mehr als 25 Millionen Nutzerkonten; die Tresore enthielten unverschlüsselte Website-URLs sowie verschlüsselte Benutzernamen und Passwörter, zudem wurden Namen, E-Mail-Adressen, Rechnungsadressen und teilweise Kreditkartendaten erbeutet. LastPass informierte die Kunden erst am 30. November bzw. 22. Dezember 2022 vollständig über das tatsächliche Ausmaß. Die britische Datenschutzbehörde ICO verhängte am 20. November 2025 eine Geldbuße von 1.228.283 Pfund gegen LastPass UK Ltd. In den USA einigte sich LastPass zudem auf einen Sammelklage-Vergleich in Höhe von 24,5 Millionen US-Dollar.

Aus dieser Quelle nicht belegt ist, wie viele der gestohlenen Tresore mit schwachen Master-Passwörtern tatsächlich entschlüsselt wurden und in welchem Umfang die damit verknüpften Kryptowährungs-Diebstähle in Höhe von über 150 Millionen US-Dollar eindeutig auf dieses Datenleck zurückzuführen sind.

Die australische Sozialbehörde Centrelink setzte von Juli 2015 bis November 2019 das automatisierte Verfahren Robodebt ein, um vermeintliche Überzahlungen von Sozialleistungen zurückzufordern. Das System verglich jährliche Einkommensdaten der Steuerbehörde ATO mit den vierzehntägigen Einkommensangaben bei Centrelink und errechnete daraus per automatisierter Durchschnittsbildung Schulden, ohne individuelle Einkommensschwankungen zu prüfen. Die Beweislast lag bei den Betroffenen. Nach Feststellung der Royal Commission wurden unrechtmäßig Forderungen in Höhe von rund 1,76 Milliarden australischen Dollar gegen mindestens 433.000 Bürger erhoben. Am 27.11.2019 räumte die australische Bundesregierung vor dem Federal Court ein, dass allein auf Einkommensdurchschnitten basierende Forderungen rechtswidrig waren, woraufhin das Programm eingestellt wurde. Eine Sammelklage endete am 16.11.2020 mit einem Vergleich im Gesamtwert von rund 1,8 Milliarden australischen Dollar. Die 2022 eingesetzte Royal Commission unter Vorsitz von Catherine Holmes legte ihren Abschlussbericht am 07.07.2023 vor und bezeichnete das Programm als grob und grausam sowie weder fair noch rechtmäßig, mit 57 Empfehlungen.

Aus dem Bericht der Royal Commission vom Juli 2023 geht nicht hervor, ob den namentlich genannten Verantwortlichen letztlich straf- oder zivilrechtliche Konsequenzen drohten, da der entsprechende Abschnitt versiegelt war. Eine spätere Prüfung sprach zwei zentrale Verantwortliche von entsprechenden Vorwürfen frei.

Am 11.06.2024 veröffentlichte der IT-Sicherheitsanbieter Kaspersky eine Studie zu 24 Sicherheitslücken in biometrischen Zugangsterminals des chinesischen Herstellers ZKTeco, die unter zahlreichen Whitelabel-Marken weltweit vertrieben werden. Das Forscherteam fand sechs SQL-Injection-Schwachstellen, sieben Stack-basierte Pufferüberläufe, fünf Command-Injection-Fehler, vier Schwachstellen für beliebiges Dateischreiben und zwei für beliebiges Dateilesen. Über manipulierte QR-Codes mit eingebetteter SQL-Injection konnten Angreifer die Authentifizierung umgehen und sich unautorisierten physischen Zutritt verschaffen. Weitere Lücken erlaubten das Auslesen und Verändern der Nutzerdatenbank samt gespeicherter Gesichtserkennungsdaten sowie das Herunterladen von Nutzerfotos, die anschließend für Fotospoofing gegen die Kamera des Geräts genutzt werden konnten. Pufferüberlauf- und Command-Injection-Fehler ermöglichten zudem die vollständige Übernahme einzelner Geräte mit Root-Rechten aus der Ferne. Die betroffenen Terminals werden laut Kaspersky unter anderem in Kernkraftwerken, Chemieanlagen, Büros und Krankenhäusern eingesetzt und können Tausende Gesichtsvorlagen speichern. Kaspersky informierte den Hersteller vor der öffentlichen Bekanntgabe der Ergebnisse.

Aus der Kaspersky-Quelle geht nicht hervor, ob und wann ZKTeco tatsächlich Patches veröffentlicht hat, und es ist nicht belegt, dass die Schwachstellen in der Praxis bereits von Angreifern ausgenutzt wurden.